公民卫生：别为今天的政府，建造明天警察国家能用的技术

原文来源：Terence Eden's Blog — 2013 年的经典文章：建造任何技术时都要问一句"如果下一届政府是坏人，这东西会被用来做什么"，这个概念叫公民卫生（Civic Hygiene）。

想象一下：政府想给每个人的性取向建一个数据库。理由很正当——这能帮助规划性健康服务、预测出生率、决定建多少所学校。你信任政府，你投了票，你身边的人都没有不可告人的秘密。

然后选举输了。一群恐同者上台。现在他们手里有一份"村里每一个同性恋"的名单。

这不是虚构。英国 2013 年的现实是：卡梅伦政府推动 ISP 部署记录每一次点击的"黑盒"过滤系统，NHS 医疗数据被卖给私人公司。Terence Eden 当时写下这篇文章，借用了 Bruce Schneier 的一句话——"建造可能有一天被用来促成警察国家的技术，是糟糕的公民卫生。"

公民卫生到底在说什么

这个概念的精髓在于一个常人容易搞混的点：

公民卫生不是不信任现任政府——它是不信任下一届政府。

现任政府你可能信得过：政策透明、程序正当、你亲手投过票。但技术设施是长寿命资产，会一直存在到你不知道哪一届政府执政的时候。今天看起来人畜无害的数据收集系统，在权力更迭后可能变成镇压工具。

作者给出了一个判断标准：区分"难被滥用"和"容易被滥用"的系统。

车辆登记数据库——车主和车牌的对应关系——有重要的民事用途，且很难被系统性滥用（虽然也并非完全不可能）。但如果建一个"宗教信仰数据库"，几乎所有人本能地摇头。法西斯主义的记忆就摆在那里：种族和宗教身份曾经变成过死亡判决。

差别在哪？车辆登记记录的是一个公共可见的事实（车在街上跑，牌照本来就能看见），而信仰、性取向、健康记录、浏览历史——这些是私密的、一旦落入恶意之手就能精准定位个体的信息。

—— 广告 ——

这篇文章今天在 HN 上拿到 361 分重新翻红，不是偶然。过去十三年里，"公民卫生"问题以作者当年难以想象的方式恶化了：

数据规模完全不同了。 2013 年的"每一次点击"已经很吓人，但今天的位置轨迹、生物识别、语音记录、实时摄像头数据，精度和覆盖面都高了几个量级。当时的数据库是"记录你访问过哪些网站"，现在是"模型能推断出你的政治倾向、健康状况、性取向，甚至你明天会出现在哪"。

AI 让"连接"变得廉价。 公民卫生的原始版本担心的是单一数据库被滥用。但 2026 年真正危险的是整合：单独看无害的数据点（外卖订单、打车记录、支付流水），通过 AI 关联后能还原出一个人的完整画像。坏处不在于任何单个系统的设计，而在于它们可以被组合成监控基础设施。

监控能力的门槛降低了。 2013 年，能搞大规模监控的只有国家级机构。今天，廉价摄像头、开源人脸识别、可随意调用的分析 API，让"警察国家工具"的搭建成本降到了中小型机构甚至个人都能负担的水平。Civic Hygiene 不再只是政府系统的议题，而是任何造工具的人都要面对的。

这篇文章的结尾没有给出操作清单——它更像一声警钟。但结合当下的语境，有几条朴素的原则值得带进日常开发：

① 默认少存，而不是默认多存。 数据合规的底线是"收集最少必要数据"，但真正有公民卫生意识的团队会问：这个数据非存不可吗？存了之后，最坏情况下会被怎么用？如果答案让你不舒服，那就是该删的时候了。

② 给数据上"保质期"。 几乎所有隐私灾难都源于"当初存了，后来忘了删"。自动过期、自动匿名化，应该和备份策略一样成为默认配置，而不是事后补丁。

③ 警惕"双用途"论证。 "这个系统还能用来抓坏人"听起来人畜无害，但每一个合法的监控能力，都天然可以被非法使用。增强监控能力之前，先想想它会不会有一天被用来对付你信任的人。

④ 别用"我信任现在的政府"来论证合理性。 公民卫生的核心洞见就是时间：技术比政府任期活得久。你信任的是今天的人，但系统会活到明天。

Eden 在 2013 年写这篇文章时，英国正在经历一次大规模监控立法浪潮，他说的话带着那个年代的焦虑。但"公民卫生"这个概念的价值恰恰在于它跳出了具体的事件——它不是反对某届政府，而是给所有技术建造者立了一个通用测试："如果这是坏人的基础设施，我还会建吗？"

在 AI 让数据收集和关联能力指数级膨胀的今天，这个问题值得每一个写代码的人，每隔一段时间就问自己一遍。